Warlock khai thác lỗ hổng SharePoint để vô hiệu hóa công cụ bảo mật và phát tán ransomware
"Warlock (also tracked as Gold Salem, Longlegs, and Storm-2603) is exploiting Microsoft SharePoint Server vulnerabilities, including the ToolShell flaws, to gain initial access, drop web shells, and execute code in the SharePoint application pool. The group then disables security tools using a vulnerable driver (CVE-2025-1055), stages payloads in SYSVOL, and deploys ransomware across targeted organizations; the article does not describe a new CVE fix, but notes that unpatched or unmitigated SharePoint deployments remain at risk."
Đây là chiến dịch có mức độ nghiêm trọng cao vì kết hợp khai thác SharePoint, vô hiệu hóa công cụ phòng thủ và triển khai ransomware. Các hệ thống chưa vá hoặc chưa giảm thiểu rủi ro vẫn có thể bị xâm nhập và lan rộng trong miền.
Tác động vận hành có thể lớn, đặc biệt với hạ tầng trọng yếu, chính phủ và giáo dục. Sự cố có thể gây gián đoạn dịch vụ, mất khả năng bảo vệ đầu cuối và lan truyền mã độc trên diện rộng trong tổ chức.
Nhóm đe dọa Warlock (còn được theo dõi với các tên Gold Salem, Longlegs và Storm-2603) tiếp tục khai thác các lỗ hổng trong Microsoft SharePoint Server để xâm nhập ban đầu vào hệ thống của tổ chức. Theo ghi nhận từ Symantec và Carbon Black Threat Hunter Team, chiến dịch này nhắm vào các đơn vị ở Bồ Đào Nha và Tây Ban Nha, bao gồm hạ tầng trọng yếu, cơ quan chính phủ và giáo dục.
Sau khi vào được môi trường nạn nhân, nhóm thường thả web shell, lấy ASP.NET machine keys của SharePoint farm để tạo payload hợp lệ và thực thi mã trong SharePoint application pool. Họ cũng dùng kỹ thuật BYOVD với driver dễ tổn thương K7RKScan.sys (CVE-2025-1055) để vô hiệu hóa công cụ bảo mật, đồng thời đặt payload trong SYSVOL để lan truyền nhanh qua miền.
Một số hoạt động khác gồm DLL sideloading, tải payload từ dịch vụ chia sẻ tệp hợp pháp như catbox[.]moe và wasabisys[.]com, cùng việc lạm dụng tính năng VS Code tunnel để duy trì kết nối từ xa. Tổ chức đang vận hành SharePoint on-premises cần vá lỗi, kiểm tra web shell, giám sát SYSVOL và rà soát driver dễ tổn thương để giảm rủi ro bị triển khai ransomware.